Fałszywe wiadomości od „kuriera DPD”. Sprawdź, jak nie dać się oszukać

Oszuści wysyłają e-maile o niedostarczonej paczce i proszą o małą dopłatę. W ten sposób próbują wyłudzić dane karty, adres, e-mail i numer telefonu.

Tego typu kampanie phishingowe najczęściej dostarczane są przy wykorzystaniu wiadomości SMS, co opisywaliśmy m.in. w Raporcie CERT Orange Polska 2025. Tym razem do naszego zespołu trafił również e-mail phishingowy wysłany przez oszustów, widoczny na grafice tytułowej.

Wyłudzenie danych karty

Dlaczego na wielu internautów to działa? Oszuści bazują na pośpiechu, fakcie iż mogą trafić na kogoś, kto faktycznie czeka na paczkę oraz na niskiej kwocie rzekomej dopłaty. Oto co dzieje się w kolejnych krokach:

Po serii przekierowań trafimy na stronę hxxps://74-161-43-28.cprapid[.]com/pl/update.php?[20-znakowy hash]

Sprawdzenie numeru przesyłki w systemie DPD potwierdza, że paczka o takim numerze nigdy nie istniała. Co ciekawe, o ile witryna pokazuje, iż paczka ma znajdować się w centralnym magazynie w „Warsaw” – ruchoma grafika widoczna m.in. na pierwszym zrzucie ekranu pokazuje… Toruń.

Co się dzieje, gdy „zaplanujemy nową dostawę”? Drobna opłata za rzekomą wysyłkę to socjotechniczna sztuczka, mająca osłabić naszą czujność. Bo przecież skoro ktoś chce od nas 1-2 złote to nic groźnego, prawda?

Tymczasem jeśli damy się oszukać, w kolejnym kroku zobaczymy monit o podanie naszych dany adresowych i numeru telefonu. Po co? Z dwóch powodów. Po pierwsze – żeby uwiarygodnić podszycie pod kuriera DPD. Po drugie – te dane mogą się przydać oszustowi do kolejnych phishingów. (które potem można wykorzystać do kolejnych phishingów) myśląc, że trafią do kuriera DPD… No i oczywiście w kolejnym kroku najważniejsza informacja – dane dotyczące naszej karty płatniczej. Oczywiście okraszone informacjami, że że transakcja jest „Zgodna z PCI DSS”, podlega „Ochronie przed oszustwami” i „3D Secure” (monit o to ostatnie oczywiście się nie pojawi).

Jeśli damy się przekonać, w ramach „płatności dla kuriera DPD” nie zostanie nam ściągnięte ani 1,2 ani 2,05 PLN – oszuści wypłacą z naszej karty tyle, na ile pozwolą im limity. Co ciekawe – opisywany przypadek to jedna z rzadkich sytuacji, w których przestępca nie wykorzystuje danych karty na bieżąco.

Mimo wpisania fałszywych danych otrzymaliśmy informację zwrotną o potwierdzeniu zamówienia. Oznacza to, że dopiero później będą sprawdzać, czy podane przez ofiary dane instrumentów płatniczych są zgodne z prawdą.

Jak nie dać się oszukać „na kuriera DPD”?

Dostajesz SMS-a lub maila od kuriera DPD lub z innej firmy?

• upewnij się, czy czekasz na jakąkolwiek dostawę – to pierwszy krok
• wyszukaj w Google stronę śledzenia paczek danej firmy i wpisz na niej numer paczki z wiadomości – pomoże Ci to zweryfikować, że taka paczka w ogóle istnieje
• szczegóły dotyczące karty płatniczej podawaj wyłącznie na stronach banków, bramek płatności czy potwierdzonych, sprawdzonych sklepów
• czytaj uważnie SMS-y dotyczące transakcji z Twoich kart – to może być SMS od oszustów, którzy mając dostęp do danych karty usiłują właśnie dokonać zakupu; najlepiej korzystaj w tym celu z aplikacji mobilnej Twojego banku
• w razie jakichkolwiek wątpliwości, czy Twoja karta nie jest właśnie nadużywana – natychmiast skontaktuj się z bankiem

Opisywany przypadek to jedna z wielu kampanii phishingowych, podszywających się pod firmy kurierskie. Przestępcy wykorzystują nasze zaufanie do najpopularniejszych marek, dostarczających nasze paczki, a wysyłając kampanie do bardzo wielu użytkowników wzmacniają szansę – a ze strony uczciwych ludzi: ryzyko – na to, że mail, czy SMS dotrze do kogoś, kto faktycznie czeka na paczkę z danej firmy.